高级持续性威胁(APT,Advanced Persistent Threats)是现代网络中一种复杂的威胁,为了窃取目标网络的敏感信息或破坏目标网络系统,APT在目标网络中进行隐蔽,持续的活动。传统的APT攻击主要入侵目标网络中的PC设备,窃取PC设备上的关键信息或者破坏目标网络中特定的设备。然而安全专家近年来发现了大量针对移动设备发起的APT攻击。这种新的APT攻击模式被研究人员称为移动高级持续性威胁(MAPT,Mobile Advanced Persistent Threats),在最近的一段时间,MAPT攻击大有崛起之势。与针对PC平台的传统APT相比,针对移动设备的MAPT攻击更容易被成功发动且更难被安全检测工具发现。在最新的APT报告中常有利用移动设备作为攻击跳板的APT案例。本文通过分析APT报告发现,移动设备和PC设备在网络连接方式、设备的功能、设备存储的信息、使用的操作系统等方面存在的一些差异给检测APT攻击带来了全新的挑战。相关工作中针对PC端APT攻击的DNS检测方案能够显著提高APT攻击的发现率。然而这些方法如果直接应用在MAPT中,其检测性能将大打折扣。为了解决以上问题,提高对MAPT攻击的检测率,本文首先从相关报告中分析数个PC端APT攻击案例和MAPT攻击案例,发现移动设备和PC设备在用途、性能、联网方式等方面的差异导致应用在APT攻击中的部分特征发生变化甚至无法提取,是引起检测性能下降的主要原因。随后本文分析了这些与传统APT攻击有差异的特征并在不同平台的数据中提取出不同特征组合。接着,根据对MAPT攻击案例的分析,本文针对MAPT攻击提出一种新颖的检测方案,这种检测方案不仅可以检测出MAPT攻击中的恶意域,而且与相关工作相比,能显著提高恶意域的检测率。本文的主要任务是在DNS请求日志中提取MAPT中使用的恶意域的特征,并依据这些特征定位远端的恶意域名服务器。本文的突破点在于将目标网络中的DNS日志根据其属于移动设备还是PC设备划分为两部分,在两部分数据中选出两组不同特征组合(包括本文新发现的特征)检测恶意域。然后使用7种不同的机器学习算法来处理数据,以获得能达到最佳检测效果的特征组合。最后,实验表明本文的针对MAPT攻击的检测方法可以将检测率提高15%以上。